펜타-아우토, 'AI 시대 사이버보안 3원칙' 선언문 공개

펜타시큐리티, 아우토크립트 소속 전문가 8인이 인공지능(AI) 시대 보안 기준을 담은 '사이버시큐리티 선언문'을 내놨다. 선언문은 관측가능성, 다층방어, 제로 데미지 디자인 등을 '사이버 디펜스 3원칙'으로 제시했다.

이들 기업은 전문가 8인이 5일 선언문을 공동 발표했다고 27일 밝혔다.

참여자는 이석우 아우토크립트 의장 겸 창업자, 김덕수 아우토크립트 최고경영자(CEO) 겸 공동창업자, 김태균 펜타시큐리티 CEO, 심상규 아우토크립트 최고기술책임자(CTO) 겸 공동창업자, 정성균 아우토크립트 엔지니어링본부장, 정태준 펜타시큐리티 기획실장, 이준용 펜타시큐리티 연구소장, 조성우 아우토크립트 AI모빌리티정책연구소장이다. 이들의 전문 분야는 암호학, 소프트웨어공학, 정보보안, 보안 소프트웨어(SW) 전략과 개발, 피지컬 AI다.

‘사이버시큐리티 선언문’을 발표한 펜타시큐리티와 아우토크립트 보안 전문가 8인이 기념 촬영을 하고 있다. (사진=펜타시큐리티)

선언문은 'AI가 스스로 해킹하기 시작했다'는 문제의식에서 출발한다. 공격 양상을 예측하기 어려운 만큼 개별 공격마다 대책을 세우기보다 어떤 상황에서도 일관되게 적용할 보안 기준이 필요하다는 취지다. 전문가들은 사이버보안을 모든 디지털 시스템이 기본적으로 갖춰야 할 요소로 보고 빈틈없는 방어 체계를 마련해야 한다고 강조했다.

AI를 활용한 공격은 이미 통계로 나타나고 있다. 크라우드스트라이크의 '2026년 글로벌 위협 보고서'에 따르면 AI 활용 공격자의 침해 건수는 2025년 한 해 전년 대비 89% 늘었다. 초기 침투부터 데이터 유출까지 걸리는 평균 시간인 '이크라임 브레이크아웃 타임(eCrime breakout time)'은 29분으로, 2024년보다 공격 속도가 65% 빨라졌다.

사이버 디펜스 3원칙은 보안 관련 정보를 측정하고 분석하는 관측가능성(Observability), 모든 공격 표면을 계층별로 방어하며 상호 연계하는 다층방어(Cross-Layer Defence), 공격이 현실의 피해로 이어지지 않도록 설계하는 제로 데미지 디자인(Zero Damage Design)으로 구성된다.

설계 단계 보안과 다층방어는 펜타시큐리티가 이전부터 강조해 온 방향과 이어진다. 2017년 한인수 펜타시큐리티 당시 이사는 연결 후 보안이 아니라 '선 보안-후 연결' 원칙이 사물인터넷(IoT) 보안의 근본 해법이라고 주장했다. 김태균 CEO는 올해 2월 신년 인터뷰에서 올해 보안 시장이 사후 대응에서 사전 설계로, 단일 방어에서 다중, 중첩 방어로 전환할 것이라고 전망했다. 사고 후 빠르게 정상화하는 사이버 회복탄력성과 공급망 전반의 보안 책임이 중요해진다고도 했다.

선언문은 AI 자체에 설정된 안전 기준이 우회되거나 제대로 작동하지 않을 가능성까지 고려했다. 이에 AI의 행동을 검증하고 통제하며 책임 주체를 명확히 하는 등 사이버보안 리스크를 외부에서 통제하는 방안을 제안했다.

김덕수 CEO는 AI가 디지털 영역을 넘어 물리적 시스템의 판단과 제어에 관여하면서 보안 위협의 영향도 현실 세계로 확장되고 있다고 설명했다. 피지컬 AI 시대에는 설계 단계부터 보안을 핵심 요건으로 반영하는 접근이 필수적이라는 입장이다.

김태균 CEO는 AI 시대 사이버보안의 역할이 공격을 막는 데 그치지 않는다고 말했다. AI가 개입한 환경에서도 시스템의 통제권과 책임 구조, 핵심 기능을 유지할 수 있도록 만드는 데 있다는 설명이다. 선언이 AI를 안전하게 활용하기 위한 기술과 제도의 기준을 함께 논의하는 출발점이 되기를 바란다고 덧붙였다.